安卓提示“证书不受信任”90%以上因Apache证书链不完整，需将域名证书与中间证书按序合并为单个PEM文件（域名证书在前、中间证书在后、根证书不包含），并在SSLCertificateFile中指向该文件，同时禁用TLS 1.1及以下协议和弱加密套件。
安卓手机提示“证书不受信任”，在 apache https 部署中，**90% 以上是证书链不完整导致的**，不是证书本身无效，而是服务器没把中间证书一起发给手机。安卓系统（尤其是 android 7.0+）比 pc 浏览器更严格校验证书链，且不缓存中间证书，一旦缺失就直接报错。
补全证书链（最关键一步）
只放域名证书（your_domain.crt）到 SSLCertificateFile 是不够的。必须把中间证书追加进去，顺序固定为：你的域名证书 → 中间证书（根证书不放）。操作如下：
- 用 SSL Labs（ssllabs.com/ssltest）检测你的域名，看 “Certificate Chain” 是否显示 Incomplete
- 从证书颁发商处下载完整中间证书包（例如 Let’s Encrypt 的
fullchain.pem，或 Sectigo 提供的ca-bundle.crt） - 把中间证书内容（从
-----BEGIN CERTIFICATE-----到-----END CERTIFICATE-----）复制并追加到你的域名证书文件末尾，保存为新文件（如ssl-bundle.crt） - Apache 配置中只用这一份合并后的文件：
SSLCertificateFile /path/to/ssl-bundle.crt
确认使用公共可信 CA 签发的证书
自签名、内网私有 CA、已停用的老根（如 DST Root CA X3，2024 年 9 月起彻底失效），在安卓上默认不被信任。普通用户无法手动安装根证书，所以必须换：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 生产环境优先选 Let’s Encrypt（免费、兼容性好）、DigiCert 或 Sectigo
- 用 Certbot 自动部署：
sudo certbot --apache -d yourdomain.com，它默认生成并配置完整的fullchain.pem - 避免交叉签名链，尤其不要依赖已过期或即将淘汰的根（如 Symantec 旧体系）
加固 TLS 协议与加密套件
安卓新版（Android 7.0+）和 iOS ATS 要求最低 TLS 1.2，禁用弱算法。Apache 若还开着 TLS 1.1 或含 RC4/3DES 套件，部分安卓机型会直接拒绝连接：
- 在虚拟主机或 ssl.conf 中添加：
SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1 - 设置强加密套件（推荐）：
SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256 - 启用套件优先级：
SSLHonorCipherOrder on
验证与快速排查
改完配置别急着重启，先做两件事：
- 检查语法：
apachectl configtest或httpd -t - 重启 Apache 后，用安卓手机访问，同时打开 Chrome 地址栏输入：
chrome://net-internals/#hsts→ 点击 “Query domain” 查看是否能成功建立 HTTPS 连接 - 仍报错？用手机浏览器访问
https://yourdomain.com，点击地址栏锁图标 → “证书” → 查看“颁发者”，确认是否显示知名 CA（如 “Let’s Encrypt Authority X3”），而不是“Unknown”或内部名称
